){kind=link}
Nesta quarta-feira (10), um grupo cibercriminoso anunciou a venda de supostos dados de 248 milhões de cidadãos brasileiros. A oferta foi realizada em fórum ilegal, afirmando incluir o total de 1,08 bilhão de registros únicos. Segundo o texto, todo o material é derivado da Receita Federal, sendo extraído diretamente de fontes oficiais. Em resposta exclusiva à apuração da reportagem, os responsáveis pelo suposto vazamento de dados alegam que as informações à venda não são reaproveitadas e estão atualizadas até 2019. O TecMundo entrou em contato com as autoridades, que já analisam o caso.
O suposto conjunto de dados oferecido à venda é extenso e bastante detalhado. Segundo o grupo criminoso, ele incluiria também informações complementares de empresas, cadastros, endereços, parentesco e números de contato. Na íntegra, o material descompactado possuiria cerca de 78,7 GB, divididos em 24 arquivos de bancos de dados SQLite. Por essa característica de formato, todos os registros incluídos seriam facilmente organizados e pesquisados, conforme o comprador preferir consultá-los.
smart_display
Nossos vídeos em destaque
Para sustentar as alegações, os criminosos incluíram uma amostra com cerca de 100 linhas de cada um dos 24 bancos de dados. Eles foram salvos como uma “consulta” do material inteiro, sugerido pela nomenclatura dos arquivos e um registro anexado, o que ajudaria a comprovar a sua extensão total.
Se confirmado pelas autoridades como autêntico, o conjunto de dados potencialmente afeta todos os cidadãos brasileiros vivos, além de pessoas já falecidas e estrangeiros com CPF. Todo o material coletado pelo TecMundo foi compartilhado diretamente com a Receita Federal.
Análise da amostra sugere um vazamento real
Na análise preliminar do TecMundo, é possível verificar que o material possui diversos indícios de autenticidade. Em uma amostra de 50 registros, todos os CPFs e CNPJs apresentaram dígitos verificadores válidos, passando pelos testes oficiais para validação desses documentos.
Além disso, as tabelas de referência presentes no conjunto de dados são compatíveis com os padrões adotados pela Receita Federal. Elas incluem as 27 unidades federativas, 12 situações cadastrais, 32 qualificações, 89 naturezas jurídicas, quatro categorias de porte empresarial e 241 países cadastrados.
)
A escala da base também é coerente com números conhecidos do cadastro brasileiro, reunindo cerca de 248,8 milhões de CPFs, 41,6 milhões de CNPJs e registros de 5.501 municípios. Outro elemento observado foi a presença exclusiva de códigos DDD válidos segundo o padrão da Anatel.
Há também informações que são supostamente exclusivas de sistemas restritos. São elas: nome da mãe de cada CPF, registros de consulta interna e dados de e-mail e telefone.
Abaixo, o TecMundo apresenta os arquivos de amostra, limitados a 100 linhas cada. A numeração, que originalmente aparece no início da nomenclatura, é um indicativo do tamanho total de cada um dos banco de dados – por exemplo, “290540443_TB_PESSOA.db”. Entenda a possível relevância de cada um deles:
Bancos de dados
- TB_PESSOA (290,5 milhões de registros): Cadastro principal de pessoas físicas e jurídicas, contendo informações básicas como nome, e-mail e situação cadastral;
- TB_PESSOA_FISICA (248,8 milhões de registros): Complemento do cadastro de pessoas físicas, com CPF, data de nascimento, sexo, nome da mãe e informações ocupacionais;
- TB_PESSOA_JURIDICA (41,6 milhões de registros): Cadastro de empresas, incluindo CNPJ, nome fantasia, porte, capital social e natureza jurídica;
- TB_PESSOA_ENDERECO (290,5 milhões de registros): Endereços vinculados aos cadastros, com rua, número, complemento, bairro, CEP, município e país;
- TB_PESSOA_TELEFONE (133 milhões de registros): Telefones associados aos cadastros, incluindo DDD e número;
- TB_PESSOA_JUR_SOCIO (18,9 milhões de registros): Relação entre empresas e seus sócios, acionistas ou representantes legais;
- TB_PESSOA_JUR_CNAE (51,8 milhões de registros): Associação entre empresas e seus códigos CNAE, que identificam as atividades econômicas exercidas;
- HT_PJ_SUCESSAO (116 mil registros): Histórico de sucessão empresarial, como incorporações, fusões ou transferências entre empresas;
- TB_CONSULTA_TMP (37.249 registros): Lista de CPFs utilizados em consultas ou pesquisas dentro do sistema;
- TB_PESSOA_FISICA_DUP (12 registros): Registro de CPFs identificados como duplicados na base.
Tabelas de referência
- TA_SITUACAO_CADASTRAL (12 registros): Tradução dos códigos de situação cadastral de pessoas e empresas (ativa, baixada, suspensa etc.);
- TA_NATUREZA_JURIDICA (89 registros): Catálogo dos tipos jurídicos de empresas, como MEI, LTDA, S.A. e associações;
- TA_QUALIFICACAO (32 registros): Lista de qualificações relacionadas a sócios, administradores e representantes;
- TA_CNAE (2.010 registros): Tabela oficial dos códigos CNAE e suas respectivas descrições de atividade econômica;
- TA_MUNICIPIO (5.501 registros): Relação de municípios e seus códigos administrativos;
- TA_UNIDADE_FEDERACAO (27 registros): Relação das unidades federativas (estados e Distrito Federal).
TA_PAIS (241 registros): Cadastro de países utilizados nos registros; - TA_OCUPACAO (132 registros): Lista de ocupações e profissões utilizadas nos cadastros;
- TA_NATUREZA_OCUPACAO (21 registros): Classificação das categorias de ocupação profissional;
- TA_PORTE_PJ (4 registros): Classificação do porte das empresas, como microempresa, pequeno porte e demais categorias;
- TA_MOT_SIT_CADASTRAL (68 registros): Motivos associados a alterações na situação cadastral de empresas e pessoas;
- TA_EVENTO_SUCESSAO (0 registros): Tabela destinada à descrição dos eventos de sucessão empresarial;
- TA_ORGAO_JURISDICAO (0 registros): Cadastro de órgãos responsáveis pela jurisdição administrativa dos registros;
- TA_UNIDADE_ADM (0 registros): Relação de unidades administrativas utilizadas para classificação interna dos cadastros.
Criminosos falam sobre o suposto vazamento de dados exclusivamente ao TecMundo
Procurado pelo TecMundo, o grupo internacional de cibercriminosos “Buddha” respondeu a perguntas sobre o suposto vazamento de dados. Logo a princípio, um dos membros afirma que as informações oferecidas à venda não são parte de um pacote reaproveitado de dados, diferentemente do caso “MORGUE”.
O incidente citado pelo membro criminoso refere-se a um dos maiores vazamentos de dados ocorridos no Brasil, revelado ainda no último mês de abril. Segundo ele, esse caso se trata de um “repack” feito pelo próprio grupo, ou seja, uma “coletânea mista” reunindo informações de 251 milhões de pessoas. Esses dados teriam sido extraídos em 2025, levando cerca de 13 meses para serem anunciados à venda
)
Neste caso, porém, o grupo afirma que toda a extração dos dados ocorreu em 2026, por meio da exploração de um sistema antigo da Receita Federal. Os criminosos não detalharam a técnica utilizada no ataque, mas alegam que o acesso à vulnerabilidade permanece ativo. Ainda segundo eles, o sistema explorado neste incidente não é o mais crítico entre os que eles conseguiram comprometer.
Por ter sido supostamente derivado de um sistema oficial, todo o material ofereceria uma organização e extensão inéditas. Naturalmente, dados pessoais de milhões de usuários já foram vazados em outros incidentes anteriores, por diversos outros criminosos – contudo, a reunião deste material em um só conjunto é o que o torna tão perigoso.
Anexando os arquivos com um leitor de banco de dados, por exemplo, qualquer criminoso poderia identificar um histórico completo de uma vítima apenas com seu CPF. Em apenas uma busca, consultar seu endereço, e-mail, número de contato, parentesco e muito mais.
Para verificar a extensão do vazamento, exclusivamente ao TecMundo, o membro do grupo Buddha compartilhou uma imagem do banco de dados completo no arquivo “TB_PESSOA_FISICA.db”. Na contagem de linhas, é possível conferir o número de 248,9 milhões.
)
Atualmente, todo o conjunto de dados está à venda por US$ 1.300. Em outras palavras, os supostos dados de 248 milhões de cidadãos brasileiros podem ser comprados por pouco mais de R$ 6.750. No momento da publicação desta reportagem, apesar das evidências, a autenticidade do material ainda não foi confirmada pela Receita Federal. Até o posicionamento oficial, o caso deve ser tratado como rumor e com cautela.
A reportagem será atualizada diante de novos fatos.
- Reportagem em andamento…